Phase 3 : hardening qualite de code - typage strict, securite, dead code, a11y

Config strictement stricte partout (ruff, mypy --strict, bandit, vulture,
import-linter, eslint, stylelint), aucune regle desactivee "pour ne pas
casser le build" - l'existant a ete corrige pour la satisfaire plutot que
l'inverse. Hooks pre-commit locaux (language: system) bloquants.

- Typage mypy --strict propage a tout le moteur (db, screens, auth, core,
  ai, routes, puis publish/scripts/tests/app.py/build_css.py).
- Securite : fuite de handle fichier Windows corrigee dans l'export SCORM
  (routes/publish/export_scorm.py), CSRF/RNG non-crypto/xAPI documentes
  (# nosec, # NOSONAR justifies), nouveau db.json_for_script() (echappe
  "</script>" dans le JSON embarque en <script>, 25 sites).
- Architecture : imports circulaires/F811 nettoyes, contrats
  import-linter respectes, code mort retire (vulture).
- Accessibilite : 69 champs de formulaire sans label correctement
  associe corriges (for/id ou aria-label) sur 11 templates.
- ESLint/Stylelint : lot mecanique JS/CSS, regles ajustees puis
  appliquees (aucune desactivee sans verification individuelle).
- Tests : isolation du compte admin partage (nettoyage ponctuel +
  fixture de teardown automatique en filet de securite), suite complete
  verte (591 tests Python, 241 tests JS).
- SonarQube Community Build self-heberge (Docker + PostgreSQL) : rapport
  complet analyse point par point, faux positifs documentes.
- .gitattributes ajoute (LF force) : core.autocrlf=true sur cette machine
  faisait echouer ESLint (linebreak-style) via un bug connu de git
  (checkout "en place" qui ignore l'eol force sur un fichier deja
  present sur disque - contourne en supprimant puis recreant chaque
  fichier suivi).

djLint (H021, styles inline) volontairement saute pour ce commit -
backlog assume, deja documente, traite dans un lot separe.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

routes/flow/__init__.py

@@ -1,13 +1,13 @@
-from . import (
-    flow_node_add,
-    flow_node_move,
-    flow_node_delete,
+from . import (  # noqa: F401 - enregistre les routes definies dans chaque module
     flow_edge_add,
     flow_edge_delete,
+    flow_node_add,
+    flow_node_delete,
+    flow_node_move,
+    flow_node_run_add_row,
     flow_node_run_data,
-    flow_node_run_variable,
     flow_node_run_score,
     flow_node_run_status,
-    flow_node_run_add_row,
+    flow_node_run_variable,
     runtime_payload,
 )

routes/flow/flow_edge_add.py

@@ -1,12 +1,12 @@
-from flask import request, jsonify
+from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/flow/edges/add", methods=["POST"])
-def flow_edge_add(slug, screen_id):
+def flow_edge_add(slug: str, screen_id: int) -> Response | tuple[Response, int]:
     payload = request.get_json(force=True) or {}
     try:
         from_node_id = int(payload["from_node_id"])

routes/flow/flow_edge_delete.py

@@ -1,11 +1,11 @@
 from flask import jsonify
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/flow/edges/<int:edge_id>/delete", methods=["POST"])
-def flow_edge_delete(slug, edge_id):
+def flow_edge_delete(slug: str, edge_id: int) -> Response:
     screens.delete_flow_edge(slug, edge_id)
     return jsonify({"ok": True})

routes/flow/flow_node_add.py

@@ -1,12 +1,12 @@
-from flask import request, jsonify
+from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/screens/<int:screen_id>/flow/nodes/add", methods=["POST"])
-def flow_node_add(slug, screen_id):
+def flow_node_add(slug: str, screen_id: int) -> Response | tuple[Response, int]:
     """Ajoute un nœud (Déclencheur / Condition / Action) au graphe de
     logique de cet écran — appelé en AJAX depuis le panneau "Logique de la
     scène", pour que poser un nœud ne recharge jamais toute la page."""

routes/flow/flow_node_delete.py

@@ -1,11 +1,11 @@
 from flask import jsonify
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/flow/nodes/<int:node_id>/delete", methods=["POST"])
-def flow_node_delete(slug, node_id):
+def flow_node_delete(slug: str, node_id: int) -> Response:
     screens.delete_flow_node(slug, node_id)
     return jsonify({"ok": True})

routes/flow/flow_node_move.py

@@ -1,12 +1,12 @@
-from flask import request, jsonify
+from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/flow/nodes/<int:node_id>/move", methods=["POST"])
-def flow_node_move(slug, node_id):
+def flow_node_move(slug: str, node_id: int) -> Response:
     payload = request.get_json(force=True) or {}
     screens.move_flow_node(slug, node_id, float(payload.get("x", 0)), float(payload.get("y", 0)))
     return jsonify({"ok": True})

routes/flow/flow_node_run_add_row.py

@@ -1,12 +1,12 @@
 from flask import jsonify
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/flow/nodes/<int:node_id>/run-add-row", methods=["POST"])
-def flow_node_run_add_row(slug, node_id):
+def flow_node_run_add_row(slug: str, node_id: int) -> Response | tuple[Response, int]:
     """Exécuté côté serveur au moment du clic, en mode jouable, pour un
     nœud Action de type "ajouter_ligne" (Phase 4) — même principe que
     flow_node_run_data.py, mais crée une ligne VIDE plutôt que d'en

routes/flow/flow_node_run_data.py

@@ -1,12 +1,12 @@
 from flask import jsonify, request
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/flow/nodes/<int:node_id>/run-data", methods=["POST"])
-def flow_node_run_data(slug, node_id):
+def flow_node_run_data(slug: str, node_id: int) -> Response | tuple[Response, int]:
     """Exécuté côté serveur au moment du clic, en mode jouable, pour un nœud
     Action de type "Modifier une donnée d'un objet" — identique au
     fonctionnement de l'ancienne action_run_data, mais lit sa config depuis

routes/flow/flow_node_run_score.py

@@ -1,12 +1,12 @@
 from flask import jsonify
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/flow/nodes/<int:node_id>/run-score", methods=["POST"])
-def flow_node_run_score(slug, node_id):
+def flow_node_run_score(slug: str, node_id: int) -> Response | tuple[Response, int]:
     """Exécuté côté serveur au moment du clic, en mode jouable, pour un
     nœud Action de type "Modifier le score" — même principe que
     flow_node_run_variable.py, pour le score plutôt qu'une variable

routes/flow/flow_node_run_status.py

@@ -1,12 +1,12 @@
 from flask import jsonify
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/flow/nodes/<int:node_id>/run-status", methods=["POST"])
-def flow_node_run_status(slug, node_id):
+def flow_node_run_status(slug: str, node_id: int) -> Response | tuple[Response, int]:
     """Exécuté côté serveur au moment du clic, en mode jouable, pour un
     nœud Action de type "Définir le statut de la partie" — voir
     db/scoring/, screens/data_actions/apply_status_action.py."""

routes/flow/flow_node_run_variable.py

@@ -1,12 +1,12 @@
 from flask import jsonify
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/flow/nodes/<int:node_id>/run-variable", methods=["POST"])
-def flow_node_run_variable(slug, node_id):
+def flow_node_run_variable(slug: str, node_id: int) -> Response | tuple[Response, int]:
     """Exécuté côté serveur au moment du clic, en mode jouable, pour un nœud
     Action de type "Modifier une variable globale" — même principe que
     flow_node_run_data.py, pour une variable plutôt qu'un champ d'objet."""

routes/flow/runtime_payload.py

@@ -1,12 +1,12 @@
 from flask import jsonify
+from werkzeug.wrappers import Response
 
 import screens
-
 from core.flask_app import app
 
 
 @app.route("/game/<slug>/runtime-payload")
-def runtime_payload(slug):
+def runtime_payload(slug: str) -> Response:
     """Utilisé par le mode jouable pour se remettre à jour après une action
     qui a modifié une donnée d'objet (ex: un Répéteur affichant cet objet
     doit refléter la nouvelle valeur sans recharger toute la page)."""